.:: Securnetwork.net Blog - Massimo Rabbi ::.

Stando ad un advisory comparso su XDisclose, la falla classificata come “critica” è relativa al modo in cui Internet Explorer processa un numero svariato di tag HTML, come “img,” “script,” “embed,” “object,” “param,” “body” e “input”.
Il bug è stato scoperto da Rajesh Sethumandhavan, un ricercatore Indiano: mediante l’uso di questi tag è infatti possibile accedere ai file locali sulla macchina della vittima.
La vulnerabilità è stata riscontrata in IE6 ed è possibile che altre versioni del browser ne siano affette.
Affinchè l’attacco vada a buon fine è necessario che l’utente visiti una pagina web contenente codice maligno.
Questa segnalazione arriva a distanza di qualche giorno dal classico rilascio mensile di patch da parte di Microsoft, che questo mese ha rilasciato una dozzina di patch che hanno interessato una ventina di vulnerabilità.
La casa di Redmond ha già confermato che i ricercatori del Security Response Center sono al lavoro per verificare e risolvere il problema.
L’advisory completo disponibile su XDisclose è disponibile qui.